O que mostra uma boa evidência
Uma evidência comprova que uma medida não foi apenas decidida, mas é efetivamente aplicada. Uma política, por si só, raramente basta. Mostra o que deve vigorar. O auditor quer ver, além disso, que foi mesmo assim que se fez: o documento assinado, a captura de ecrã de uma configuração, a ata de uma formação, o extrato do sistema de tickets, o relatório de verificação com data e responsável.
As boas evidências têm algumas características em comum. Estão datadas, para que fique claro quando existia aquela situação. Permitem perceber quem era o responsável. E correspondem à afirmação que devem comprovar. Se a sua resposta na avaliação descreve uma revisão trimestral de acessos, o auditor espera várias atas, não uma.
Tenha também atenção à dimensão. Uma exportação com centenas de entradas é difícil de verificar. É preferível um extrato que mostre a parte relevante, complementado por uma breve explicação de como foi obtido. No Sightadel, introduz essa explicação como descrição diretamente na evidência. Os dados pessoais que não sejam necessários para a prova devem ser ocultados antes do carregamento.
Ordem na biblioteca: tipo, responsabilidade, validade
Uma biblioteca só se mantém útil se cada evidência for bem descrita no carregamento. Atribua um tipo, uma pessoa responsável e uma data de validade. O tipo ajuda a filtrar, a responsabilidade esclarece quem age quando a evidência expira e a data garante o lembrete.
A data de validade depende do ritmo da medida. Provaram-se eficazes revisões anuais para políticas, formações, exercícios de emergência e avaliações de fornecedores, revisões de acessos trimestrais e auditorias internas distribuídas ao longo do ano por todo o âmbito. Defina a data um pouco antes do prazo efetivo, para que haja tempo de preparação.
O estado mostra em que pode confiar. As novas evidências ficam em revisão até alguém confirmar o seu conteúdo. Só então ficam verificadas. As evidências expiradas continuam visíveis, para que a lacuna não desapareça.
Quando uma evidência expira, carregue uma nova versão em vez de criar uma nova entrada. Assim mantêm-se todas as associações a controlos e planos de ação, e o histórico mostra a evolução ao longo dos anos.
Comprovar uma vez, usar várias vezes
Muitos frameworks exigem coisas semelhantes. Uma política de segurança da informação, um plano de formação, um plano de emergência ou uma avaliação de fornecedores surgem, de formas diferentes, na ISO 27001, na NIS2, no DORA, no BSI C5 e no SOC 2. Quem guarda uma cópia própria para cada framework depressa mantém várias versões que divergem entre si.
No Sightadel, pode associar uma evidência a todos os controlos que comprova, também entre frameworks. É alterada num único lugar. Quando se junta outro framework, basta percorrer as evidências existentes e associá-las de novo, em vez de começar do zero.
Verifique com cuidado se a evidência cobre realmente cada requisito. Requisitos semelhantes nem sempre são iguais. Um plano de emergência suficiente para a ISO 27001 pode ser demasiado genérico para o DORA, porque aí existem expectativas mais exigentes quanto a testes e cenários. Nesse caso, complemente o plano ou associe outra evidência.
A cobertura, por cima da biblioteca, mostra que parte dos requisitos ativos já está comprovada e onde faltam evidências. É a forma mais rápida de encontrar lacunas antes de uma auditoria.
O que o auditor faz com as suas evidências
Na primeira fase da auditoria, o auditor analisa sobretudo a documentação. Na segunda, recolhe amostras. Escolhe um controlo, lê a sua resposta e quer ver a evidência. Se a evidência corresponder, avança. Se não corresponder, faz perguntas, e uma pergunta pode transformar-se numa constatação.
Os motivos típicos de constatações são evidências expiradas, falta de datas, evidências que não correspondem à afirmação e lacunas no período. Quem descreve uma verificação mensal das cópias de segurança mas apresenta atas de apenas dois meses tem um problema, mesmo que as verificações tenham sido efetivamente feitas.
No Sightadel, o auditor tem uma função própria: vê as evidências com versão, estado, validade e associações, comenta e, após a sua aprovação, cria ou edita entradas. Nunca pode apagar nada. Evita-se assim a exportação para estruturas de pastas e o envio de ficheiros grandes. Ao mesmo tempo, o histórico de atividade mostra quando cada evidência foi carregada. As evidências criadas na véspera da auditoria destacam-se tanto como os registos que foram crescendo ao longo do ano.
